Miért szakad meg egy Azure OpenVPN-alagút nagyjából hatvan másodpercenként

Az alagút befejezi a kézfogást, körülbelül egy percig visz forgalmat, majd újra csatlakozik. Ez a sorrend kizárja a szokásos gyanúsítottat, mert egy portot blokkoló tűzfal a kézfogást állította volna meg, nem a munkamenetet. Amit lát, az életképességről szóló nézeteltérés: az egyik fél úgy döntött, hogy a másik elhallgatott, és lebontott egy működő alagutat. A naplósor megmondja, melyik fél, és ez választja ki a javítást.

Olvassa el azt a sort, mielőtt bármelyik időzítőhöz nyúlna.

A mítosz: valami az útvonalon blokkolja az alagutat

Ha egy port blokkolva lenne, a kapcsolat már az elején meghiúsulna, és meghiúsulva is maradna. Az ismétlődő ciklus azt jelenti, hogy a vezérlőüzenetek áramlanak, a munkamenetek létrejönnek, és valami később a beszélgetésben folyamatosan lejár. A blokkolás csendet hoz létre, ez pedig ritmust hoz létre.

A ritmus a hasznos nyom. Az időzítők állítják elő; a csomagvesztés ritkán.

Olvassa el a bontás okát az időzítő előtt

OpenVPN megnevezi az okát, és minden név más alrendszerre mutat. Session invalidated: KEEPALIVE_TIMEOUT egy lejáró időzítő, ezért hasonlítsa össze a ping és ping-restart értékeket mindkét oldalon. AUTH_FAILED a hitelesítő adatok vagy a tanúsítvány állapota, és semmilyen időzítő-módosítás nem segít. Egy TLS-hiba azt jelenti, hogy a felek egyáltalán nem érték el a keepalive szakaszt.

Jegyezze fel a csatlakozás idejét, a bontás idejét, és hogy az intervallum másodperc pontossággal stabil-e. Ez az egyetlen mérés választja el a beállított ütemtervet a véletlentől.

A stabil intervallum időzítő. A sodródó inkább útvonalprobléma vagy elcsúsztatott munkamenet.

Két keepalive-időzítő, amelyek soha nem egyeztek meg

A portálról exportált profilok néha még mindig tartalmaznak közösségi kiszolgálósablonból másolt keepalive vagy ping-restart sorokat. Az átjáró saját halottpartner-felderítést futtat, és a saját elvárásait kényszeríti ki, a két ütemtervnek pedig nem kell egyeznie. Amikor eltérnek, az ügyfél olyan ütemterv szerint indul újra, amelyhez az átjáró soha nem járult hozzá.

A két érték nem ugyanaz a vezérlés. ping az, hogy milyen gyakran küld az ügyfél visszhangot, ping-restart pedig az, hogy mennyi ideig vár anélkül, hogy bármit hallana, mielőtt lebontja az alagutat. Egy rövid ping-restartot beállító profil és egy lassan válaszoló átjáró minden csendes időszakban újraindul, ami pontosan az egyperces ciklus alakja.

A legkisebb ügyféloldali változás az, hogy semlegesítse az időzítőket a profil legfelső szintjén, minden beágyazott blokkon kívül:

keepalive 0 0

Mentse, töltse újra a profilt, csatlakozzon újra. A memóriában már meglévő munkamenet megtartja a régi értékeket, ezért tűnik úgy néha, hogy a szerkesztés semmit sem tett.

A tanúsítvány neve elmozdulhat a lába alatt

Az Azure tanúsítványalapú hitelesítése attól függ, hogy az ügyfél megbízik-e abban a névben, amelyet az átjáró ma bemutat. Egy verify-x509-name sor egy régebbi letöltésben olyan nevet rögzíthet, amelyet az átjáró újjáépítése vagy egy tanúsítvány megújítása azóta megváltoztatott, és az eltérés újracsatlakozási hurokként jelentkezik, nem világos hibaként. A sor törlése helyreállítja a kapcsolatot, ami jó diagnózissá és rossz végleges javítássá teszi, mert az ellenőrzést is eltávolítja. Ha az alagút tart, állítsa vissza a sort azzal a névvel, amelyet az átjáró valóban bemutat.

Teszteljen egy második ügyfélgenerációt ugyanazon a gépen, mielőtt szerkesztené az átjárót. Ha az egyik ügyfél hurkol, a másik pedig tart, a profil nem a probléma.

Mit módosítson, és milyen sorrendben

Ezután ellenőrizze az elcsúsztatott munkamenetet. Két eszköz, amely egy tanúsítványt oszt meg, kiszoríthatja egymást, és az eredmény periodikusnak látszik, mert mindkét fél folyamatosan újracsatlakozik. Hasonlítsa össze a pont-hely munkamenet-rekordokat ugyanarra az identitásra, amely újra és újra megjelenik.

Ezután tesztelje az üresjárati útvonalat folyamatos forgalom futtatásával több percen át. Ha a megszakadások megállnak, miközben a forgalom áramlik, a fontos időzítő egy NAT-eszközhöz vagy terheléselosztóhoz tartozik az útvonalon, nem az OpenVPN-hez.

Az átjáró beállításait csak e négy teszt után szabad módosítani.